WordPress安全漏洞：从任意文件删除到任意代码执行
本文转载自：https://www.wpdaxue.com/wordpress-file-delete-to-code-execution.html
WordPress是网络上最受欢迎的CMS系统。据w3tech统计，约有30％的网站运行了该系统。该系统的应用是如此广泛，难免会成为网络犯罪分子攻击目标。在这篇博文中，我们将为读者介绍WordPress内核中的一个任意文件删除漏洞，这个漏洞可能会导致攻击者执行任意代码。早在7个月前，我们就向WordPress安全团队报告了这个漏洞，但到目前为止，该漏洞仍然没有得到修补。自初次报告（该报告既没有提供任何补丁，也没有给出具体的修复计划）至今，已经过了漫长的时间，但是仍然没有看到任何的修复迹象，所以，我们决定将这个漏洞公之于众，以督促其尽快采取行动。
受影响的版本
在撰写本文时，该漏洞仍然没有补丁可用。并且，所有WordPress版本，包括当前的4.9.6版本在内，都面临这个漏洞的威胁。
要想利用下面讨论的这个漏洞，攻击者需要事先获得编辑和删除媒体文件的权限。因此，该漏洞可用于通过接管角色与作者一样低的帐户或通过利用其他漏洞/错误配置来实现提权。
阅读详细 »
CloudXNS-DDNS动态域名配置
最近出现了不少NAT机的商家。虽然是便宜玩具，但容易被攻击然后整台机子小伙伴一起遭殃。大部分商家都有提供免费的DDNS动态域名，有的直接给IP。这里提供个利用CloudXNS的API自动更新解析的脚本，也可以实现DDNS动态域名了。
fail2ban拦截扫描
换了wordpress后似乎各种东西都来了，最近查看了下日志，发现了一堆东西，于是装了个fail2ban。
服务器网络流量监控工具：Ntopng
ntopng可以通过分析网络流量来判断网络上存在的各种问题，还可以监控是否有黑客正在攻击网络，如果网络突然变缓慢，通过Ntop截获的数据包，可以确定是什么类型的数据包占据了大量带宽，以及数据包的发送时间、数据包传送的延时、数据包的来源地址等。
转回到WordPress
typecho用了有挺长时间了，但有的功能无法满足需要，所以还是决定转回Worepress。
oneindex – 直接列onedrive目录，文件直链下载
onedrive是一个比较多人使用的网盘，oneindex可以直接列onedrive目录，并提供文件直链下载，还有文件夹加密，代码在线查看（js、css、html、sh、php、java、md等），视频在线播放，图片在线预览，音频在线播放等。不占用服务器空间，不消耗服务器流量，可以轻松搭建一个公共分享网盘。
自建短网址（短链接）服务-YOURLS
YOURLS不单单是缩短地址，还提供数据统计以及统计展现的功能，并且有很多插件可以使用，安装方法也非常简单。
Ubuntu 16.04 x64手动安装NextCloud 13.0.1
NextCloud 是 OwnCloud 的开源分支，使用 PHP 语言开发，类似程序通常采用 LAMP 或 LNMP 运行环境。本文介绍在 Ubuntu 16.04 LTS 系统上安装 NextCloud 13.0.1 最新版的标准方法。
手动安装 NextCloud 实际就是搭建 Apache + MySQL + PHP 运行环境并配置使用的过程，由于 Ubuntu 16.04 的软件仓库中提供了搭建运行环境所需的一切，因此只需要几个命令即可完成安装和配置。
网站启用了SSL
前几天给博客和图床的外链加上了小绿锁。使用的是https://freessl.org/申请的Let’s Encrypt证书。申请和安装下来大概不到半个小时就弄完，十分方便。
目前并未强制跳转，HTTP和HTTPS均可访问，博客仍有个别非HTTPS引用资源需要替换，等有空再搞了。懒癌发作。。。
尽量选择浏览器生成，这样私钥也一起出来了，服务器后端生成的没有私钥。
[转载]CPU漏洞(Meltdown/Spectre)相关信息整理
最近爆出的CPU漏洞闹的沸沸扬扬，各大云服务商都在做紧急处理，打补丁，而这将导致CPU性能下降 ，严重的甚至达到20%以上。不知道Intel是否还能继续保持优势呢。
以下转载了来自漩涡整理的一些相关信息。